KI-Spamfilter im eigenen Postfach, trainiert nur von Ihnen

Der Spamfilter in einem Nisdos-Mail-Postfach ist ein Klassifikator aus dem maschinellen Lernen, der im Postfach selbst lebt, mit demselben Schlüssel verschlüsselt wie Ihre Nachrichten, und er lernt aus genau einer Quelle: der Mail, die Sie als Spam markieren, und der Mail, die Sie als kein Spam markieren. Nichts anderes trainiert ihn. Kein gemeinsames Korpus, keine kontenübergreifenden Signale, kein Profil von Ihnen, das irgendwo in einer Datenbank mit einer Löschfrist daneben liegt.

Ausgeliefert haben wir ihn im Juli 2026, mit einer Statusseite dazu — denn ein Filter, der Entscheidungen über Ihre Mail trifft, schuldet Ihnen eine Erklärung, wie er sie getroffen hat.

Wie arbeiten KI-Spamfilter normalerweise?

Auf den Servern des Anbieters, über die Mail aller gleichzeitig. Gmails Filter ist die Referenzimplementierung dieses Ansatzes: ein Modell, das laufend über ein enormes Korpus von Nachrichten trainiert wird — weshalb es sehr gut ist und weshalb es für Sie besser wird, wenn ein Fremder in einem anderen Land eine Kampagne meldet. Die Mail ist das Trainingsmaterial, und die Maschinerie muss sie lesen, um zu funktionieren.

Das ist ehrliche Ingenieursarbeit mit einem realen Preis. Die Trefferquote kommt aus der Zentralisierung, also lässt sich dieser Filter nicht in Ihr Postfach verschieben, ohne das aufzugeben, was ihn stark macht. Und Sie können ihn nicht einsehen, nicht dauerhaft korrigieren und nicht mitnehmen.

Was macht ein Filter pro Postfach anders?

Er tauscht das globale Korpus gegen Ihr eigenes Urteil und hält das Modell dort, wo Ihre Mail ist. Der Klassifikator ist ein Naive-Bayes-Textmodell — gut verstandene Statistik, klein genug, um neben dem Zustand Ihres Postfachs zu liegen — über Tokens aus der Betreffzeile und dem sichtbaren Text des Nachrichtenkörpers, plus einige strukturelle Hinweise wie die Domain des Absenders und die Frage, ob eine Nachricht einen Anhang hat.

Das Modell liegt als ein Objekt der Datenebene, geschrieben durch dieselbe Verschlüsselungsnaht wie Ihre Nachrichten, und erbt damit die Verfügungsstufe Ihres Postfachs. In der Gerätestufe kann der Server es überhaupt nicht lesen. Es lässt sich außerdem vollständig aus Ihrer markierten Mail wiederaufbauen, weshalb ein Verlust eine Unannehmlichkeit ist und kein Datenverlust.

Den Handel benenne ich lieber deutlich: Ein persönliches Modell startet bei null und weiß nur, was Sie ihm beigebracht haben. Es wird Gmails Trefferquote auf einem brandneuen Postfach nie erreichen. Was es stattdessen lernt, ist Ihr Begriff von unerwünscht, und den kann ein globales Modell strukturell nicht kennen. Die Recruiter-Rundmail, die eine Person sofort wegsortiert, ist die Mail, auf die eine andere wartet.

Wie lernt er, was Sie als Spam ansehen?

Aus zwei Klicks. „Als Spam markieren“ bringt ihm Spam bei, „Kein Spam“ bringt ihm erwünschte Mail bei, und das Zurücknehmen einer Markierung trainiert die frühere Lektion wieder weg. Markieren ist idempotent — das Modell merkt sich, welche Nachrichten es trainiert haben, also verdoppelt ein zweites Training derselben Mail ihr Gewicht nicht.

Aus den eigenen Urteilen lernt er nie. Automatisches Nachlernen ab einer Schwelle klingt effizient und verstärkt still die eigenen Fehler; eine schlechte Entscheidung wird zur Neigung. Nur ausdrückliche menschliche Aktionen.

Dazu kommt eine Sperre für den Kaltstart: Der Klassifikator bewertet nichts, solange er nicht 20 als Spam und 20 als erwünscht markierte Beispiele hat. Darunter verhält sich die Zustellung genau so wie vor dem Feature. Die Formulierung des Produkts selbst ist die schlichteste Version: Er braucht 20 von jedem, bevor er zu bewerten beginnt, damit ein paar Klicks Ihren Posteingang niemals falsch einsortieren können.

Ist er aktiv, geht seine Meinung als gewichtetes Signal ein statt als eigenes Urteil. Hohe Konfidenz — 95 Prozent oder mehr Wahrscheinlichkeit für Spam — trägt Gewicht 4, kennzeichnet eine Nachricht damit allein schon als verdächtig und verschiebt sie zusammen mit einem beliebigen zweiten Signal in den Spam-Ordner; der Erstkontakt mit einem Fremden ist das übliche zweite. Mittlere Konfidenz trägt Gewicht 2 und schärft, was sonst ausgelöst hat. Die Schwellen sind fest: 3 warnt, 5 verschiebt.

Was prüft Ihre Mail außerdem?

Drei Schichten um den Klassifikator herum, die alle in denselben Score einfließen, mit denselben erklärbaren Begründungscodes.

Inhaltsheuristiken suchen nach Verschleierung statt nach Thema: HTML-Text, der dem Leser durch Schriftgröße null, Positionierung außerhalb des Bildschirms oder Schrift in der Hintergrundfarbe entzogen wird; Betreffzeilen, die ASCII-Wörter mit Homoglyphen aus gemischten Schriftsystemen buchstabieren; Nachrichtenkörper, die im Wesentlichen ein Bild ohne lesbaren Text sind; Links, die durch URL-Kürzer gewaschen wurden. Einzeln sind diese Signale schwach und absichtlich weich gewichtet; sie existieren, um sich zu stapeln.

Reputationsprüfungen sind die Entscheidung des Betreibers und standardmäßig aus: eine IP-Blockliste am annehmenden Edge, eine Blockliste für Link-Domains und eine Prüfung auf Absenderdomains, die in den letzten 30 Tagen registriert wurden. Aus heißt aus — eine nicht gesetzte Konfiguration erzeugt null DNS-Abfragen. Eingeschaltet verraten diese Abfragen die Adresse des Absenders an den Betreiber der Blockliste, und genau deshalb sind sie eine bewusste Wahl und kein Standard.

Massenerkennung per Fingerabdruck zählt Streuung ohne jeden externen Dienst. Das Backend normalisiert einen Nachrichtenkörper, hasht ihn und hält ein Fenster von einer Stunde im Arbeitsspeicher darüber, welche Fingerabdrücke wie viele verschiedene Postfächer getroffen haben; ab fünf bekommen spätere Kopien ein Massensignal. Gespeichert wird nichts, ein Neustart räumt das Fenster leer, und abonnierte Mailinglisten sind ausgenommen, weil eine beliebte Liste legitim identische Nachrichtenkörper an viele Menschen schickt.

Über allem gewinnt Ihre Erlaubnisliste. Die Spam-Signale eines erlaubten Absenders werden schlicht aufgehoben. Betrugssignale überleben diese Aufhebung — eine gescheiterte DMARC-Prüfung oder ein gefälschter Anzeigename bleiben stehen —, denn sonst wäre die Erlaubnis für Ihre Bank die Lizenz für jeden, sie zu imitieren. Einen Absender zu sperren erzeugt einen eindeutigen Begründungscode statt einer stillen Überlagerung, damit das Hinweisband Ihnen sagen kann, dass Sie diesen Absender gesperrt haben, statt Sie raten zu lassen.

Können Sie nachsehen, was er gelernt hat?

Ja, und diese Seite ist der Teil, den ich jedem zeigen würde, der beim Wort KI hier skeptisch wird. Einstellungen, dann Spam — erreichbar aus dem Kontextmenü des Spam-Ordners, weil der Ordner der Ort ist, an dem Sie mit dem Filter streiten — zeigt das Modell, wie es sich selbst erklärt: Trainingszahlen gegen die Sperre, Umfang des Vokabulars und die Richtung, in die es kippt, die Tokens mit dem stärksten Zug zu Spam samt der genauen Quoten, die der Klassifikator summiert, wie viel Mail er geprüft und einsortiert hat, warum jede Nachricht im Spam-Ordner dort liegt — in denselben Sätzen, die das Hinweisband im Postfach verwendet — und ein Eingangsdiagramm über 30 Tage. Dreißig Tage, weil der Spam-Ordner selbst nur so weit zurückreicht; das Fenster kann also keine Daten suggerieren, die längst gelöscht sind.

Zwei Invarianten halten diese Seite zusammen. Nichts über Ihre Mail wird gespeichert oder profiliert, um sie zu erzeugen: keine Zähler, keine Analytics-Zeilen, kein Cache — das Öffnen der Seite ist, was sie berechnet, aus Ihrem eigenen Index und Ihrem Modell. Und sie gibt eine Teilzahl nie als Gesamtzahl aus; jenseits einer Zeilenobergrenze schreibt sie, welchen Ausschnitt sie gezählt hat.

Ein Filter, den Sie lesen können, ist ein Filter, den Sie korrigieren können. Das ist der größte Teil des Arguments, ihn im Postfach zu halten.